【入門編】OAuth 2.0における認可コード横取り攻撃(Authorization Code Interception)とPKCEの必須化 – アプリケーションセキュリティ & 安全な開発防御ガイド

認可コードは「合い鍵」と同じ。PKCEで守る「認証の玄関口」

こんにちは。セキュリティの世界へようこそ。
今日は、皆さんが普段何気なく使っている「Googleでログイン」や「SNS連携」の裏側にある、ちょっと怖いけれど面白いお話、「認可コード横取り攻撃」と、それを防ぐ最強の盾「PKCE（ピクシー）」についてお話しします。

専門用語だらけで難しそうに見えますよね？大丈夫です。まずは家の鍵に例えて、私と一緒に紐解いていきましょう。

—

1. 認可コードは「コピー可能な合い鍵」

OAuth 2.0という仕組みでは、サービスA（例：あなたのアプリ）がサービスB（例：Google）から許可をもらう際、「認可コード」という文字列をやり取りします。

これを家の鍵に例えると、こんな感じです。

1. あなたが「鍵（認可コード）を玄関に置いておくから、後で取りに来てね」と伝言します。
2. 本来なら、信頼できる配送業者（あなたのアプリ）だけがその鍵を受け取るはずです。
3. しかし！ もし途中に泥棒がいたらどうでしょう？玄関に置かれた鍵をこっそりコピーして、先にサービスBへ持っていってしまったら……。

泥棒は「私が本物だ！」と偽って、あなたの個人情報や権限を盗み出してしまいます。これが「認可コード横取り攻撃」の正体です。特に、スマホアプリやPCアプリのように、プログラムの動きが外部から見えやすい環境では、この鍵は非常に盗まれやすいのです。

—

2. PKCE（ピクシー）という「秘密の合言葉」

この攻撃を防ぐために生まれたのが、PKCE（Proof Key for Code Exchange）です。
仕組みはとてもシンプルで、賢い「合言葉」を使います。

1. 【準備】 アプリは、自分だけが知っている「秘密のランダムな数字（Code Verifier）」を作ります。
2. 【変換】 その数字をハッシュ化（複雑な暗号に変換）して、「合言葉のヒント（Code Challenge）」を作ります。
3. 【申請】 ログインする時、アプリは「このヒントを知っている私だけが、後で鍵（認可コード）を使えますよ」と宣言します。
4. 【確認】 最後にサービスBが鍵を渡す際、「本当にあんたが持ち主か？最初に言ったヒントの答え（元の数字）を言ってみろ！」と問い詰めます。

泥棒は、この「元の数字」を知らないので、鍵を盗んでも最後の一線で拒否されるわけです。これがPKCEの魔法です。

—

3. 実装で意識するべきポイント

今の開発現場では、PKCEは「オプション」ではなく「必須」です。実装する際は、以下のフローを意識してください。

コード例：クライアント側のイメージ（JavaScript）

// 1. 秘密のランダムな数字を生成
const codeVerifier = generateRandomString(64);

// 2. SHA-256でハッシュ化して「合言葉のヒント」を作成
const codeChallenge = await sha256(codeVerifier);

// 3. 認可リクエスト送信時（URLパラメータに付与）
// ここで「私はこのヒントを知っている」とサーバーに伝えます
const authUrl = https://accounts.example.com/auth? +
response_type=code& +
code_challenge=${codeChallenge}& +
code_challenge_method=S256; // ハッシュ化手法はS256を推奨！

// 4. トークン交換時（最後にサーバーへ答え合わせを要求）
// サーバーはここで codeVerifier を受け取り、合致するか検証します
post(‘/token’, {
code: receivedCode,
code_verifier: codeVerifier // ここで答え合わせ！
});

—

4. 今日からできるセキュリティの習慣

「PKCEなんて難しそう」と身構える必要はありません。最近のモダンなライブラリ（Auth0やFirebase Authなど）を使っていれば、設定をオンにするだけでPKCEは自動で適用されることがほとんどです。

私たちがやるべきことは、たった一つ。
「ライブラリやフレームワークのセキュリティ設定で『PKCE』という文字を見つけたら、迷わず有効にすること」。

これだけで、あなたのアプリの玄関は、何重もの頑丈なロックがかかった要塞に変わります。

セキュリティとは、完璧な防御を目指すことではなく、「泥棒に手間をかけさせて、諦めさせること」の積み重ねです。PKCEは、その中でも極めてコストパフォーマンスの高い防犯対策。ぜひ、皆さんのプロジェクトにも取り入れてみてください。

一歩ずつ、安全な開発の道を進んでいきましょう。また何かあれば、いつでも相談してくださいね。